CVE-2017-2773
KrytyczneStreszczenie
W Pivotal PCF Elastic Runtime występuje problem z niekompletną walidacją w bibliotekach JSON Web Token (JWT), co pozwala nieuprzywilejowanym atakującym na podszywanie się pod innych użytkowników w różnych komponentach. Dotyczy to wersji 1.6.x przed 1.6.60, 1.7.x przed 1.7.41, 1.8.x przed 1.8.23 oraz 1.9.x przed 1.9.1.
Ocena ryzyka
Organizacja może być narażona na ataki, w których nieautoryzowani użytkownicy mogą uzyskać dostęp do danych innych użytkowników, co prowadzi do naruszenia prywatności i bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Pivotal PCF Elastic Runtime do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów zabezpieczających w celu ochrony przed nieautoryzowanym dostępem.
Inne podatności w Pivotal PCF Elastic Runtime
Zobacz wszystkie- CVE-2017-4959Wysokie
W Pivotal PCF Elastic Runtime w wersjach 1.8.x przed 1.8.29 oraz 1.9.x przed 1.9.7 odkryto problem, który pozwala autoryzowanemu użytkownikowi przejąć konto innego użytkownika. Może to prowadzić do zablokowania konta oraz potencjalnego podniesienia uprawnień.
- CVE-2017-4955Krytyczne
W Pivotal PCF Elastic Runtime w wersjach 1.6.x przed 1.6.65, 1.7.x przed 1.7.48, 1.8.x przed 1.8.28 oraz 1.9.x przed 1.9.5 odkryto problem, w którym w logach dla zadania powiadomień znajdowały się różne dane uwierzytelniające.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Pivotal PCF Elastic Runtime 1.6.x versions prior to 1.6.60, 1.7.x versions prior to 1.7.41, 1.8.x versions prior to 1.8.23, and 1.9.x versions prior to 1.9.1. Incomplete validation logic in JSON Web Token (JWT) libraries can allow unprivileged attackers to impersonate other users in multiple components included in PCF Elastic Runtime, aka an "Unauthenticated JWT signing algorithm in multiple components" issue.